CVE-2024-2753
Açıklama
Concrete CMS'in 9.2.8 öncesindeki 9 sürümleri ve 8.5.16 öncesindeki önceki sürümleri, kullanıcı tarafından girilen bilgilerin kaçış karakterleri uygulanmadan çıktı verilmesi nedeniyle takvim renk ayarları ekranında Stored XSS zafiyetine sahiptir. Kötü niyetli bir yönetici, Takvim Renk Ayarları ekranına zararlı JavaScript kodu enjekte edebilir ve bu kod, kullanıcılar etkilenen sayfayı ziyaret ettiğinde çalıştırılabilir. Concrete CMS güvenlik ekibi, bu zafiyete AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:N/A:N&version=3.1 vektörü ile 2.0 CVSS v3.1 puanı vermiştir. https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator Bildirimi için Rikuto Tauchi'ye teşekkürler.
Nasıl düzeltilir
- concretecms concrete_cms8.5.16, 9.2.8 ya da sonraki bir sürüm
- concrete5/concrete59.2.8, 8.5.16 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | v < 8.5.16, 9.0.0 ≤ v < 9.2.8 | 8.5.16, 9.2.8 |
| concrete5/concrete5Packagist | 9.0.0RC1 ≤ v < 9.2.8, v < 8.5.16 | 9.2.8, 8.5.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.